华中科技大学数字鉴别实验报告

身份认证课程实验报告基于X509证书和SSL协议的身份认证编程实现学号指导老师：时间:一、实验的目的和意义身份认证是信息安全与保密技术的核心技术之一，是一门实践性非常强的课程，实践教学是培养密码技术应用性人才的重要途径，实践教学质量的好环，实际上也决定了应用型人才培养质量的高低。

因此，加强身份认证课程实践教学环节，提高实践教学质量，对培养高质量的应用型人才至关重要。

本实验主要有以下目的：理解和掌握X509证书和SSL协议；能够正确编译、安装、部署和配置openssl系统；能够利用openssl系统建立一个小型的CA中心，产生密钥对，申请、发布、撤销证书，能够发布CRL列表；能够自己动手编写程序，使用openssl系统发布的证书进行C/S系统的身份认证，使用openssl对C/S之间的通信信息进行加密。

二、实验原理OpenSSL是一个开放源代码的SSL协议的产品实现，它采用C语言作为开发语言，具备了跨系统的性能，支持Linux、Unix、Windows、Mac和VMS等多种平台。

虽然OpenSSL使用SSL作为其名字的重要组成部分，但其实现的功能确远远超出了SSL协议本身。

OpenSSL事实上包括了三部分：SSL协议、密码算法库和应用程序库。

SSL协议部分完全实现和封装了SSL协议的三个版本和TLS协议，SSL协议库的实现是在密码算法库的基础上实现的。

使用该库，你完全可以建立一个SSL服务器和SSL客户端。

密码算法库是一个强大完整的密码算法库，它是OpenSSL的基础部分，也是很值得一般密码安全技术人员研究的部分，它实现了目前大部分主流的密码算法和标准。

主要包括公开密钥算法、对称加密算法、散列函数算法、X509数字证书标准、PKCS12、PKCS7等标准。

事实上，OpenSSL的SSL协议部分和应用程序部分都是基于这个库开发的。

基于OpenSSL指令的应用很容易，只要安装好了OpenSSL，就可以开始使用了。

最简单的应用就是使用Req、CA以及X509指令来签发一个证书了，该证书可以用于各种目的，比如很多Apache服务器就是使用OpenSSL的指令生成的证书作为服务器证书。

三、实验要求①能够在windows系统下，安装vc6和Perl组件系统。

解压Openssl软件包，进行正确编译、安装和配置Openssl系统；保证Openssl系统的正确运行；②能够发布CA自签名证书；建立一个小型的CA中心；熟悉CA证书系统的密钥对的产生、提出证书申请、发布证书、撤销证书、发布CRL列表等流程；发布以自己姓名（汉语全拼）为名字的个人证书；发布Server服务器端的证书；③熟悉基于socket的网络通信编程的相关知识，编写简单的Client程序和Server程序，实现Client程序与Server程序之间基于X509证书和SSL协议身份认证和通信加密；具体可参考Openssl目录下的client和server目录下的相关源代码；④设计用户界面，能够由用户自己输入想要传输的message；比如-m “zhangsan is working”，服务器能够接收并且显示消息。

⑤对程序重要的函数添加完整的注释，对重要函数都要说明清楚函数的功能、输入和输出参数列表、返回值和函数内部的关键算法。

四、实验环境Windows7 Ultimate操作系统，Microsoft Visual C++6.0 SP6和ActivePerl5.8.0.806编译环境，openssl-0.9.8软件包。

五、实验操作过程1.安装openssl软件包1.1 .安装PERL组件ActivePerl-5.8.0.806-MSWin32-x86，如图5-1所示。

图5-11.2 解压openssl-0.9.8.rar压缩包至D:\openssl目录下，如图5-2所示。

图5-21.3 打开命令提示符控制台，进入解压后的openssl文件夹，执行perl Configure VC-WIN32命令，如图5-3所示。

图5-31.4 继续在该目录下，执行ms\do_ms命令，如图5-4所示。

图5-41.5 进入vc6.0安装文件夹（c:\ Program Files\Microsoft Visual Studio\VC98\bin），执行vcvars32.bat命令，设置系统环境变量，如图5-5所示。

图5-51.6 重新返回D:\openssl，执行nmake -f ms\ntdll.mak命令，安装OpenSSL动态库，如图5-6所示。

安装后，执行nmake -f ms\ntdll.mak test，对安装情况进行测试，如图5-7所示。

图5-6图5-72.创建CA中心2.1 CA认证中心需要下列相关目录，故手动建立下列目录。

如图5-8所示。

c:\caroot\c:\caroot\certsc:\caroot\newcertsc:\caroot\privatec:\caroot\crl在caroot根目录下手动创建一个空的文本数据库文件index.txt。

图5-72.2 在private目录下生成随机数文件.rnd。

可以用C:\caroot>edit private\.rnd这种方式生成。

生成后的.rnd文件内容如图5-8所示。

图5-82.3 生成证书序列号文件serial。

在caroot下创建证书序列号文件serial,使用文本编辑器打开,在文件中输入"01";(文件内容无银号)，此处也可以者使用命令C:\caroot>echo 01 > serial (注意确认serial文件内容为01，并且无引号)。

如图5-9和5-10所示。

图5-9图5-102.5 产生CA私钥在openssl下执行genrsa -out c:\caroot\private\ca.key -rand c:\caroot\private\.rnd 2048，生成密钥ca.key。

这里采用默认的rsa加密算法，生成2048位密钥。

如图5-9所示。

图5-102.5 生成CA证书ca.crt.如图5-11所示。

req -new -x509 -days 3650 -key c:\caroot\private\ca.key -out c:\caroot\private\ca.crt -configc:\caroot\f图5-11安装过程中输入的用户信息如图5-12所示。

图5-12安装成功后，用以下命令查看文件证书：x509 -in c:\caroot\private\ca.crt -noout–text。

证书内容如图5-13和图5-14所示。

图5-13图5-142.6生成自签名证书请求，并签发证书生成密钥执行genrsa -out c:\caroot\certs\cert.key -rand c:\caroot\private\.rnd -des3 2048，生成cert.key 如图5-15所示。

图5-15执行openssl>genrsa -out private\ca.key -rand private\.rnd -des 2048 ，生成ca.key,并输入所需信息。

执行结果如图5-16所示。

5-16执行openssl>x509 -in private\ca.crt -noout –text，查看密钥，如图5-17和5-18所示。

图5-17图5-182.7 重复以上步骤，执行生成server的证书过程。

如图5-19至5-所示。

图5-19图5-20图5-21图5-222.8 重复以上步骤，生成产生proxy的证书过程。

2.9重复以上步骤，生成产生client的证书过程。

2.10 重复以上步骤，生成产生张三的证书过程。

3.安装openssl软件分别编译client和server目录下的程序。

3.1在visual C++中打开server工程，调试编译直至结果无误。

如图5-23所示。

图5-233.2 连接生成server.exe可执行文件，如图5-24。

图5-243.3 在visual C++中打开client工程，调试编译直至结果无误，如图5-25。

图5-253.4 连接生成client.exe可执行文件，如图5-26所示。

图5-26六、程序测试和运行结果1 打开server.exe文件，如图所示。

窗口显示“begin TCP socket”，如图6-1所示。

图6-12 打开client.exe文件。

窗口显示信息如图6-2所示：图6-27根据提示，输入字符串。

此处输入Hi！how are you?what’s your name？执行回车，在client窗口显示“Got 11 chars:’I hear you’”如图6-3所示。

图6-3此时，在server窗口接收到如下消息：“Got 32 chars:’H i！how are you?what’s your name？’”如图6-4所示。

图6-4从以上实验现象可知Client程序与Server程序之间基于X509证书和SSL协议身份认证和通信加密获得成功。

七、实验的心得体会本次试验在编译安装各组件、配置实验环境时,遇到了很多问题,比如VC6.0对win7系统支持不是很好，编译openssl动态库时常常失败，在网上查到了很多资料才终于弄明白了。

从这里我认识到，虽然有现成的操作过程可以参考，但还是比不上自己的动手实践。

只有自己操作，才能够真正明白和解决实际中遇到的各种问题。

这次试验也让我明白了X509证书和SSL协议的一些基本知识，学会了利用openssl建立小型CA中心，发布证书等操作。

实践出真知，这远比从课本上的来的知识更重要。

八、附加程序的完成的源代码1 服务器端源程序（server.cpp）// server.cpp : Defines the entry point for the console application.////#ifdef WIN32//#include "stdafx.h"/****************************************************************************** *SSL/TLS服务端程序WIN32版(以demos/server.cpp为基础)*需要用到动态连接库libeay32.dll,ssleay.dll,*同时在setting中加入ws2_32.lib libeay32.lib ssleay32.lib,*以上库文件在编译openssl后可在out32dll目录下找到,*所需证书文件请参照文章自行生成.******************************************************************************/ #include <stdio.h>#include <stdlib.h>#include <memory.h>#include <errno.h>#include <sys/types.h>#ifdef WIN32#include <winsock2.h>#else/* Networking headers */#include <netinet/in.h> /* structsockaddr_in */#include <sys/socket.h> /* getpeername */#include <arpa/inet.h> /* inet_ntoa */#include <sys/time.h> /* select */#include <sys/ioctl.h> /* ioctl */#include <netinet/tcp.h>#include <netdb.h>#include <unistd.h>#ifndef INADDR_ANY#define INADDR_ANY (u32)0x00000000#endif#ifndef INADDR_LOOPBACK#define INADDR_LOOPBACK (u32)0x7F000001#endifexterninterrno;#define get_last_socket_error() errno#define get_last_error() errno#define readsocket(s,b,n) read((s),(b),(n))#define writesocket(s,b,n) write((s),(b),(n))#define closesocket(s) close(s)#define ioctlsocket(a,b,c) ioctl((a),(b),(c))#include "globalmem.h"#endif#include "openssl/rsa.h"#include "openssl/crypto.h"#include "openssl/x509.h"#include "openssl/pem.h"#include "openssl/ssl.h"#include "openssl/err.h"/*所有需要的参数信息都在此处以#define的形式提供*/#define CERTF "C:\\caroot\\certs\\server.crt" /*服务端的证书(需经CA签名)*/#define KEYF "C:\\caroot\\private\\server.key" /*服务端的私钥(建议加密存储)*/#define CACERT "C:\\caroot\\private\\ca.crt" /*CA 的证书*/#define PORT 8888 /*准备绑定的端口*/#define CHK_NULL(x) if ((x)==NULL) exit (1)#define CHK_ERR(err,s) if ((err)==-1) { perror(s); exit(1); }#define CHK_SSL(err) if ((err)==-1) { ERR_print_errors_fp(stderr); exit(2); }int main (){ int err;intlisten_sd;intsd;structsockaddr_insa_serv;structsockaddr_insa_cli;intclient_len;SSL_CTX* ctx;SSL* ssl;X509* client_cert;char* str;charbuf [4096];SSL_METHOD *meth;#ifdef WIN32WSADATA wsaData;if(WSAStartup(MAKEWORD(2,2),&wsaData) != 0){printf("WSAStartup()fail:%dn",GetLastError());return -1;}#endifSSL_load_error_strings(); /*为打印调试信息作准备*/OpenSSL_add_ssl_algorithms(); /*初始化*/meth = TLSv1_server_method(); /*采用什么协议(SSLv2/SSLv3/TLSv1)在此指定*/ctx = SSL_CTX_new (meth);CHK_NULL(ctx);SSL_CTX_set_verify(ctx,SSL_VERIFY_PEER,NULL); /*验证与否*/SSL_CTX_load_verify_locations(ctx,CACERT,NULL); /*若验证,则放置CA证书*/if (SSL_CTX_use_certificate_file(ctx, CERTF, SSL_FILETYPE_PEM) <= 0) { ERR_print_errors_fp(stderr);exit(3);}if (SSL_CTX_use_PrivateKey_file(ctx, KEYF, SSL_FILETYPE_PEM) <= 0) { ERR_print_errors_fp(stderr);exit(4);}if (!SSL_CTX_check_private_key(ctx)) {printf("Private key does not match the certificate public keyn");exit(5);}SSL_CTX_set_cipher_list(ctx,"RC4-MD5");/*开始正常的TCP socket过程.................................*/printf("Begin TCP socket...\n");listen_sd = socket (AF_INET, SOCK_STREAM, 0);CHK_ERR(listen_sd, "socket");memset (&sa_serv, '\0', sizeof(sa_serv));sa_serv.sin_family = AF_INET;sa_serv.sin_addr.s_addr = INADDR_ANY;sa_serv.sin_port = htons (PORT);err = bind(listen_sd, (structsockaddr*) &sa_serv,sizeof (sa_serv));CHK_ERR(err, "bind");/*接受TCP链接*/err = listen (listen_sd, 5);CHK_ERR(err, "listen");client_len = sizeof(sa_cli);#ifdef WIN32sd = accept (listen_sd, (structsockaddr*) &sa_cli, &client_len);#elsesd = accept(listen_sd, (structsockaddr *)&sa_cli, (socklen_t*)&client_len);#endifCHK_ERR(sd, "accept");closesocket (listen_sd);printf ("Connection from %lx, port %x\n",sa_cli.sin_addr.s_addr, sa_cli.sin_port);/*TCP连接已建立,进行服务端的SSL过程. */printf("Begin server side SSL\n");ssl = SSL_new (ctx);CHK_NULL(ssl);SSL_set_fd (ssl, sd);err = SSL_accept (ssl);printf("SSL_accept finished\n");CHK_SSL(err);/*打印所有加密算法的信息(可选)*/printf ("SSL connection using %s\n", SSL_get_cipher (ssl));/*得到服务端的证书并打印些信息(可选) */client_cert = SSL_get_peer_certificate (ssl);if (client_cert != NULL) {printf ("Client certificate:\n");str = X509_NAME_oneline (X509_get_subject_name (client_cert), 0, 0);CHK_NULL(str);printf ("\t subject: %s\n", str);//free (str);str = X509_NAME_oneline (X509_get_issuer_name (client_cert), 0, 0);CHK_NULL(str);printf ("\t issuer: %s\n", str);//free (str);X509_free (client_cert);/*如不再需要,需将证书释放*/}elseprintf ("Client does not have certificate.\n");/* 数据交换开始,用SSL_write,SSL_read代替write,read */while(true){err = SSL_read (ssl, buf, sizeof(buf) - 1);CHK_SSL(err);buf[err] = '\0';printf ("Got %d chars:'%s'\n", err, buf);err = SSL_write (ssl, "I hear you.", strlen("I hear you."));CHK_SSL(err);}/* 收尾工作*/shutdown (sd,2);SSL_free (ssl);SSL_CTX_free (ctx);return 0;}/**************************************** EOF - serv.cpp*******************/2 客户端源程序（client.cpp）// client.cpp : Defines the entry point for the console application.//#include "stdafx.h"/****************************************************************************** *SSL/TLS客户端程序WIN32版(以demos/cli.cpp为基础)*需要用到动态连接库libeay32.dll,ssleay.dll,*同时在setting中加入ws2_32.lib libeay32.lib ssleay32.lib,*以上库文件在编译openssl后可在out32dll目录下找到,*所需证书文件请参照文章自行生成*/******************************************************************************/ #include <stdio.h>#include <stdlib.h>#include <memory.h>#include <errno.h>#include <sys/types.h>#include <winsock2.h>#include "openssl/rsa.h"#include "openssl/crypto.h"#include "openssl/x509.h"#include "openssl/pem.h"#include "openssl/ssl.h"#include "openssl/err.h"#include "openssl/rand.h"/*所有需要的参数信息都在此处以#define的形式提供*/// #define CERTF "zhangsan.crt" /*客户端的证书(需经CA签名)*/// #define KEYF "zhangsan.key" /*客户端的私钥(建议加密存储)*/#define CERTF "C:\\caroot\\certs\\server.crt" /*客户端的证书(需经CA签名)*/#define KEYF "C:\\caroot\\private\\server.key" /*客户端的私钥(建议加密存储)*/#define CACERT "C:\\caroot\\private\\ca.crt" /*CA 的证书*/#define PORT 8888 /*服务端的端口*///#define SERVER_ADDR "192.168.1.201" /*服务段的IP地址*///#define PORT 1111 /*服务端的端口*/#define SERVER_ADDR "127.0.0.1" /*服务段的IP地址*/#define CHK_NULL(x) if ((x)==NULL) exit (-1)#define CHK_ERR(err,s) if ((err)==-1) { perror(s); exit(-2); }#define CHK_SSL(err) if ((err)==-1) { ERR_print_errors_fp(stderr); exit(-3); }int main (){int err;intsd;structsockaddr_insa;SSL_CTX* ctx;SSL* ssl;X509* server_cert;char* str;charbuf [4096] = {0};charszMsg[4096] = {0};SSL_METHOD *meth;intseed_int[100]; /*存放随机序列*/WSADATA wsaData;if(WSAStartup(MAKEWORD(2,2),&wsaData) != 0){printf("WSAStartup()fail:%d\n",GetLastError());return -1;}OpenSSL_add_ssl_algorithms(); /*初始化*/SSL_load_error_strings(); /*为打印调试信息作准备*/meth = TLSv1_client_method(); /*采用什么协议(SSLv2/SSLv3/TLSv1)在此指定*/ ctx = SSL_CTX_new (meth);CHK_NULL(ctx);SSL_CTX_set_verify(ctx,SSL_VERIFY_PEER,NULL); /*验证与否*/SSL_CTX_load_verify_locations(ctx,CACERT,NULL); /*若验证,则放置CA证书*/ if (SSL_CTX_use_certificate_file(ctx, CERTF, SSL_FILETYPE_PEM) <= 0) { ERR_print_errors_fp(stderr);exit(-2);}if (SSL_CTX_use_PrivateKey_file(ctx, KEYF, SSL_FILETYPE_PEM) <= 0) {ERR_print_errors_fp(stderr);exit(-3);}if (!SSL_CTX_check_private_key(ctx)) {printf("Private key does not match the certificate public key\n");exit(-4);}/*构建随机数生成机制,WIN32平台必需*/srand( (unsigned)time( NULL ) );for(int i = 0; i < 100;i++ )seed_int[i] = rand();RAND_seed(seed_int, sizeof(seed_int));/*以下是正常的TCP socket建立过程.............................. */printf("Begin tcp socket...\n");sd = socket (AF_INET, SOCK_STREAM, 0);CHK_ERR(sd, "socket");memset(&sa,'\0', sizeof(sa));sa.sin_family = AF_INET;sa.sin_addr.s_addr = inet_addr (SERVER_ADDR); /* Server IP */sa.sin_port = htons (PORT); /* Server Port number */err = connect(sd, (structsockaddr*) &sa,sizeof(sa));CHK_ERR(err, "connect");/* TCP 链接已建立.开始SSL 握手过程.......................... */printf("Begin SSL negotiation \n");ssl = SSL_new (ctx);CHK_NULL(ssl);SSL_set_fd (ssl, sd);err = SSL_connect (ssl);CHK_SSL(err);/*打印所有加密算法的信息(可选)*/printf ("SSL connection using %s\n", SSL_get_cipher (ssl));/*得到服务端的证书并打印些信息(可选) */server_cert = SSL_get_peer_certificate (ssl);CHK_NULL(server_cert);printf ("Server certificate:\n");str = X509_NAME_oneline (X509_get_subject_name (server_cert),0,0); CHK_NULL(str);printf ("\t subject: %s\n", str);//free (str);str = X509_NAME_oneline (X509_get_issuer_name (server_cert),0,0); CHK_NULL(str);printf ("\t issuer: %s\n", str);//free (str);X509_free (server_cert); /*如不再需要,需将证书释放*//* 数据交换开始,用SSL_write,SSL_read代替write,read */printf("Begin SSL data exchange\nPlease Input the message:\n");while(gets(szMsg),szMsg[0] != 0){err = SSL_write (ssl, szMsg, strlen(szMsg));CHK_SSL(err);char* presult = NULL;unsigned long nresult = 0;err = SSL_read (ssl, buf, 100);printf ("Got %d chars:'%s'\n", err, buf);//nresult = atoi(buf);//if ( (err == 10) &&//(nresult> 0))// {// presult = (char*) malloc(nresult + 1);/// err = SSL_read(ssl, presult, nresult);// if ( err == nresult)// {// presult[nresult] = '\0';// }//CHK_SSL(err);// printf ("Got %d chars:'%s'\n", err, presult);// free(presult);// }//SSL_write(ssl, "1", 1);printf("InPut the Message:\n");}SSL_shutdown (ssl); /* send SSL/TLS close_notify *//* 收尾工作*/shutdown (sd,2);SSL_free (ssl);SSL_CTX_free (ctx);return 0;}/******************************EOF - cli.cpp*************************************/。